AWS Certified Security - Specialty: examen, domeinen en eisen

Wat is de AWS Certified Security - Specialty?

AWS geeft de certificering uit en omschrijft haar als bewijs van expertise in het ontwerpen en implementeren van beveiligingsoplossingen in de AWS Cloud. Die omschrijving noemt ook specialistische dataclassificatie, AWS-mechanismen voor databescherming, methoden voor versleuteling van data en veilige internetprotocollen. Het is een certificering binnen het vakgebied cybersecurity, toegespitst op cloudsecurity op één platform.

De certificering hoort in de categorie Specialty. Ze is productgebonden: je leert beveiligen binnen AWS, met de diensten en de manier waarop identiteit, logging en netwerk daar werken. Ze is geen leveranciersonafhankelijke certificering. De onderwerpen (identiteit, logging, versleuteling, netwerk, governance) komen ook bij andere clouds terug, maar de details verschillen per aanbieder.

AWS vraagt geen specifieke certificeringen vooraf. De actuele eisen staan op de certificeringspagina van AWS, en die kunnen veranderen.

Voor wie is de certificering bedoeld?

AWS beschrijft de doelgroep op twee plekken, en de formuleringen verschillen. De certificeringspagina noemt ervaren mensen met vijf jaar IT-securityervaring in het ontwerpen en implementeren van beveiligingsoplossingen, en minimaal twee jaar praktijkervaring met het beveiligen van AWS-workloads. De examengids van SCS-C03 spreekt van het equivalent van 3 tot 5 jaar ervaring met het beveiligen van cloudoplossingen.

Beide zijn een aanbeveling en geen toelatingseis, omdat AWS geen specifieke certificeringen vooraf vraagt. Gebruik ze als maatstaf om te bepalen of het examen nu bij je ervaring past. De examengids noemt als aanbevolen AWS-kennis onder meer het shared responsibility model, identiteitsbeheer op schaal, multi-accountgovernance, het beheersen van risico's in de softwareleveringsketen, het voorkomen van en reageren op beveiligingsincidenten, kwetsbaarhedenbeheer in de cloud, firewallregels op schaal voor lagen 3 tot 7, oorzaakanalyse van incidenten, ervaring met het beantwoorden van een audit, logging en monitoring, versleuteling van data in rust en in transit, en herstel na calamiteiten inclusief back-ups.

De functies die het dichtst bij dit examen liggen, zijn Cloud Security Engineer, Security Architect, Security Engineer en IAM-engineer. Een Cloud Security Engineer raakt bijna elk domein in het dagelijks werk. Een Security Architect gebruikt vooral de domeinen over governance, identiteit en dataprotectie voor het ontwerp van beveiliging. Een Security Engineer werkt met detectie en infrastructuur, en een IAM-engineer richt zich vooral op het vierde domein. Welke taken bij een functie horen, verschilt per organisatie.

Organisaties die AWS-omgevingen draaien, vind je onder IT, SaaS en technologie. Op de werkgeverspagina voor Cloud Security Engineer zie je welke werkgevers die functie hebben. De carrieregids over Cloud Security Engineer beschrijft de functie verder.

Een certificering vervangt geen ervaring. Werkgevers wegen certificering en ervaring per functie en organisatie anders, dus kijk in de vacatures voor jouw functie of AWS wordt genoemd.

Welke zes domeinen dekt het examen?

Het examen dekt zes domeinen. De gewichten zijn percentages van de gescoorde inhoud, en de examengids is geen volledige lijst van alle inhoud. Identiteit en toegangsbeheer (domein 4) weegt het zwaarst, met 20%.

De zes gewichten tellen samen op tot 100%.

Bij Detection draait het om zien wat er in een account of organisatie gebeurt. Je ontwerpt en implementeert monitoring- en alarmeringsoplossingen, zet logging op de juiste plekken en leert die oplossingen troubleshooten als ze niet werken. AWS noemt daarbij Amazon GuardDuty, AWS Security Hub en Amazon Macie voor het detecteren van afwijkende data en gebeurtenissen, en AWS CloudTrail voor logging over een hele organisatie.

Incident Response gaat over het plan en over wat je doet als er iets gebeurt. Je ontwerpt een incidentresponsplan, test het en reageert op beveiligingsgebeurtenissen. Het gaat dus om weten wat je doet wanneer een melding binnenkomt, en niet alleen om een document dat ergens ligt.

Infrastructure Security gaat over de randen van de omgeving, de rekenkracht en het netwerk. Je ontwerpt, implementeert en troubleshoot beveiligingsmaatregelen voor edge-diensten, voor compute-workloads en voor netwerkbeveiliging. Als aanbevolen kennis noemt de examengids hier firewallregels op schaal voor lagen 3 tot 7.

Identity and Access Management gaat over wie of wat toegang krijgt tot welke resources. Je ontwerpt, implementeert en troubleshoot authenticatiestrategieën en autorisatiestrategieën. Dit domein heeft het hoogste gewicht, 20%. De uitleg over identity en access management geeft het begrippenkader, en de vacatures met die vaardigheid vind je bij identity and access management.

Data Protection gaat over gegevens beschermen tijdens transport en opslag, en over omgaan met geheimen en sleutels. Je werkt aan maatregelen voor data in transit, data in rust, vertrouwelijke data, credentials, secrets en cryptografisch sleutelmateriaal. AWS noemt AWS KMS en AWS Private Certificate Authority als diensten voor het beheren van sleutels en certificaten.

Security Foundations and Governance gaat over het beheren van een groot aantal accounts op één manier, en over het aantonen dat resources aan de regels voldoen. Je ontwerpt een strategie voor het centraal uitrollen en beheren van AWS-accounts, een veilige en consistente uitrolstrategie voor cloudresources, en een toetsing van de compliance van AWS-resources.

Hoe ziet het SCS-C03-examen eruit?

Het examen heeft code SCS-C03. De kenmerken staan hieronder op een rij.

Van de 65 vragen tellen er 50 mee voor je score. De andere 15 zijn ongescoorde vragen, en je kunt niet zien welke dat zijn. Onbeantwoorde vragen tellen als fout, maar gokken wordt niet bestraft. Een antwoord geven is dus beter dan een vraag open laten.

De vragen zijn multiple choice met één juist antwoord, multiple response met twee of meer juiste antwoorden uit vijf of meer opties, ordering met 3 tot 5 stappen in de juiste volgorde, en matching met 3 tot 7 prompts die je koppelt.

Het scoremodel is compensatoir. Je hoeft niet voor elk onderdeel de slagingsscore te halen, alleen voor het geheel, dus een sterk domein kan een zwakker domein compenseren. Dat is geen reden om een domein te negeren, omdat het gewicht per domein verschilt.

Wat is het verschil tussen SCS-C03 en het vorige examen?

SCS-C02 was in gebruik tot en met 1 december 2025. SCS-C03 is sinds 2 december 2025 in gebruik. De examengids van SCS-C03 is gepubliceerd op 26 maart 2026 als versie 1.0.

AWS geeft een vergelijking van de domeinen. Bij SCS-C02 waren dat Threat Detection and Incident Response (14%), Security Logging and Monitoring (18%), Infrastructure Security (20%), Identity and Access Management (16%), Data Protection (18%) en Management and Security Governance (14%). De domeinnamen en gewichten zijn bij SCS-C03 veranderd. Leer daarom niet uit materiaal dat nog over het oude examen gaat.

Wat kost het AWS Security Specialty-examen?

Het examen kost USD 300 volgens de AWS-pagina voor deze certificering, gecontroleerd op 5 november 2026. AWS schrijft dat er extra kosten kunnen gelden door wisselkoersen, dus reken niet op een vast bedrag in euro's. Voor de actuele prijs kijk je op de certificeringspagina van AWS, omdat die kan veranderen.

Hoe lang is de certificering geldig en hoe verleng je haar?

De certificering is drie jaar geldig. Voordat ze verloopt, kun je opnieuw certificeren door de nieuwste versie van het examen te halen. Op dit moment is dat SCS-C03. Houd daarom de verloopdatum van je certificering in de gaten.

Hoe bereid je je voor?

Begin bij de examengids van AWS. Die beschrijft de zes domeinen en de taken per domein, en je voorbereiding bouw je daar omheen.

Loop de zes domeinen één voor één langs en stel vast waar je praktijkervaring hebt en waar niet. Gebruik daarvoor de taken per domein uit de gids. Let ook op de taken die buiten de scope van het examen vallen: cryptografische algoritmen ontwerpen, verkeer op pakketniveau analyseren, de totale clouduitrol ontwerpen, eindgebruikerscomputers beheren en machine-learningmodellen trainen. AWS zegt dat deze lijst niet uitputtend is.

Een eigen AWS-account helpt om de taken uit de gids praktisch uit te werken. Ruim resources na gebruik op, zodat je kosten beperkt blijven.

AWS schrijft dat kandidaten vaak eerst de AWS Certified Solutions Architect - Associate en/of - Professional behalen. Dat is een stap die je kunt zetten voor basiskennis van AWS, geen verplichte route.

Is de AWS Security Specialty de juiste certificering voor jou?

Wie vooral op AWS werkt, kijkt eerder naar deze certificering. Wie meerdere clouds of governance doet, kijkt eerder naar de CCSP, die leveranciersonafhankelijk is en gericht op cloudsecurity in het algemeen. Welke vacatures de CCSP noemen, zie je op de CCSP-pagina.

De CISSP is breed over security. De Microsoft-certificeringen gaan over Microsoft-omgevingen. De keuze hangt af van waar je werkt en wat je werkgever gebruikt. Een overzicht per functie staat in de keuzegids per functie.

Welke vacatures AWS noemen, zie je bij de vacatures met AWS. Meer over certificeringen, functies en vakgebieden vind je in de kennisbank.